Políticas administradas por AWS para Amazon Managed Grafana

Una política administrada de AWS es una política independiente que AWS crea y administra. Las políticas administradas de AWS se diseñan para ofrecer permisos para muchos casos de uso comunes, por lo que puede empezar a asignar permisos a los usuarios, grupos y roles.

Considere que es posible que las políticas administradas de AWS no concedan permisos de privilegio mínimo para los casos de uso concretos, ya que están disponibles para que las utilicen todos los clientes de AWS. Se recomienda definir políticas administradas por el cliente específicas para sus casos de uso a fin de reducir aún más los permisos.

No puede cambiar los permisos definidos en las políticas administradas de AWS. Si AWS actualiza los permisos definidos en una política administrada de AWS, la actualización afecta a todas las identidades de entidades principales (usuarios, grupos y roles) a las que está adjunta la política. Lo más probable es que AWS actualice una política administrada de AWS cuando se lance un nuevo Servicio de AWS o las operaciones de la API nuevas estén disponibles para los servicios existentes.

Para obtener más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.

Política administrada por AWS: AWSGrafanaAccountAdministrator

AWSGrafanaAccountAdministrator es una política que brinda acceso dentro de Amazon Managed Grafana para crear y administrar cuentas y espacios de trabajo para toda la organización.

Puede asociar AWSGrafanaAccountAdministrator a las entidades de IAM.

Detalles de los permisos

Esta política incluye los siguientes permisos.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AWSGrafanaOrganizationAdmin",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMGetRolePermission",
            "Effect": "Allow",
            "Action": "iam:GetRole",
            "Resource": "arn:aws:iam::*:role/*"
        },
        {
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GrafanaIAMPassRolePermission",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "grafana.amazonaws.com"
                }
            }
        }
    ]
}

Política administrada por AWS: AWSGrafanaWorkspacePermissionManagement (obsoleta)

Esta política está obsoleta. Esta política no debe asociarse a usuarios, grupos o roles nuevos.

Amazon Managed Grafana agregó una nueva política (AWSGrafanaWorkspacePermissionManagementV2) para reemplazar esta política. Esta nueva política administrada mejora la seguridad de su espacio de trabajo al proporcionar un conjunto de permisos más restrictivo.

Política administrada por AWS: AWSGrafanaWorkspacePermissionManagementV2

AWSGrafanaWorkspacePermissionManagementV2 es una política que proporciona únicamente la posibilidad de actualizar los permisos de usuario y grupo para los espacios de trabajo de Amazon Managed Grafana.

Puede asociar AWSGrafanaWorkspacePermissionManagementV2 a las entidades de IAM.

Detalles de los permisos

Esta política incluye los siguientes permisos.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [{
            "Sid": "AWSGrafanaPermissions",
            "Effect": "Allow",
            "Action": [
                "grafana:DescribeWorkspace",
                "grafana:DescribeWorkspaceAuthentication",
                "grafana:UpdatePermissions",
                "grafana:ListPermissions",
                "grafana:ListWorkspaces"
            ],
            "Resource": "arn:aws:grafana:*:*:/workspaces*"
        },
        {
            "Sid": "IAMIdentityCenterPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:DescribeRegisteredRegions",
                "sso:GetSharedSsoConfiguration",
                "sso:ListDirectoryAssociations",
                "sso:GetManagedApplicationInstance",
                "sso:ListProfiles",
                "sso:GetProfile",
                "sso:ListProfileAssociations",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup"
            ],
            "Resource": "*"
        }
    ]
}

Política adicional necesaria

Para permitir que un usuario asigne permisos por completo, además de la política AWSGrafanaWorkspacePermissionManagementV2, también debe asignar una política que permita el acceso a la asignación de aplicaciones en IAM Identity Center.

Para crear esta política, primero debe recopilar el ARN de la aplicación de Grafana para su espacio de trabajo

La política que cree debe ser igual al siguiente ejemplo. Sustituya grafana-application-arn por el ARN encontrado en el paso anterior:

Para obtener más información sobre cómo crear y aplicar una política a sus roles, consulte Adición y eliminación de permisos de identidad de IAM en la Guía del usuario de AWS Identity and Access Management.

Política administrada por AWS: AWSGrafanaConsoleReadOnlyAccess

La política AWSGrafanaConsoleReadOnlyAccess otorga acceso a operaciones de solo lectura en Amazon Managed Grafana.

Puede asociar AWSGrafanaConsoleReadOnlyAccess a las entidades de IAM.

Detalles de los permisos

Esta política incluye el siguiente permiso.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AWSGrafanaConsoleReadOnlyAccess",
      "Effect": "Allow",
      "Action": ["grafana:Describe*", "grafana:List*"],
      "Resource": "*"
    }
  ]
}

Política administrada por AWS: AmazonGrafanaRedshiftAccess

Esta política concede acceso delimitado a Amazon Redshift y a las dependencias necesarias para utilizar el complemento de Amazon Redshift en Amazon Managed Grafana. La política AmazonGrafanaRedshiftAccess permite a un usuario o a un rol de IAM utilizar el complemento de origen de datos de Amazon Redshift en Grafana. Las credenciales temporales de las bases de datos de Amazon Redshift dependen del usuario de la base de datos redshift_data_api_user y las credenciales de Secrets Manager se pueden recuperar si el secreto está etiquetado con la clave RedshiftQueryOwner. Esta política permite el acceso a los clústeres de Amazon Redshift etiquetados con GrafanaDataSource. Al crear una política administrada por el cliente, la autenticación basada en etiquetas es opcional.

Puede vincular AmazonGrafanaRedshiftAccess a sus entidades de IAM. Amazon Managed Grafana también asocia esta política a un rol de servicio que permite a Amazon Managed Grafana llevar a cabo acciones en su nombre.

Detalles de los permisos

Esta política incluye el siguiente permiso.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "redshift:DescribeClusters",
        "redshift-data:GetStatementResult",
        "redshift-data:DescribeStatement",
        "secretsmanager:ListSecrets"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "redshift-data:DescribeTable",
        "redshift-data:ExecuteStatement",
        "redshift-data:ListTables",
        "redshift-data:ListSchemas"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/GrafanaDataSource": "false"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "redshift:GetClusterCredentials",
      "Resource": [
        "arn:aws:redshift:*:*:dbname:*/*",
        "arn:aws:redshift:*:*:dbuser:*/redshift_data_api_user"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": "*",
      "Condition": {
        "Null": {
          "secretsmanager:ResourceTag/RedshiftQueryOwner": "false"
        }
      }
    }
  ]
}

Política administrada por AWS: AmazonGrafanaAthenaAccess

Esta es una política que otorga acceso a Athena y a las dependencias necesarias para poder consultar y escribir los resultados en Amazon S3 desde el complemento de Athena en Amazon Managed Grafana. La política AmazonGrafanaAthenaAccess permite a un usuario o a un rol de IAM utilizar el complemento de origen de datos de Athena en Grafana. Los grupos de trabajo de Athena deben estar etiquetados con GrafanaDataSource para que sean accesibles. Esta política contiene permisos para escribir los resultados de consultas en un bucket de Amazon S3 con un nombre como prefijo con grafana-athena-query-results-. Los permisos de Amazon S3 para acceder al origen de datos subyacente de una consulta de Athena no se incluyen en esta política.

Puede asociar la política AWSGrafanaAthenaAccess a las entidades de IAM. Amazon Managed Grafana también asocia esta política a un rol de servicio que permite a Amazon Managed Grafana llevar a cabo acciones en su nombre.

Detalles de los permisos

Esta política incluye el siguiente permiso.

JSON

{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetDatabase",
	            "athena:GetDataCatalog",
	            "athena:GetTableMetadata",
	            "athena:ListDatabases",
	            "athena:ListDataCatalogs",
	            "athena:ListTableMetadata",
	            "athena:ListWorkGroups"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "athena:GetQueryExecution",
	            "athena:GetQueryResults",
	            "athena:GetWorkGroup",
	            "athena:StartQueryExecution",
	            "athena:StopQueryExecution"
	        ],
	        "Resource": [
	            "*"
	        ],
	        "Condition": {
	            "Null": {
	                "aws:ResourceTag/GrafanaDataSource": "false"
	            }
	        }
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "glue:GetDatabase",
	            "glue:GetDatabases",	            
	            "glue:GetTable",
	            "glue:GetTables",
	            "glue:GetPartition",
	            "glue:GetPartitions",
	            "glue:BatchGetPartition"
	        ],
	        "Resource": [
	            "*"
	        ]
	    },
	    {
	        "Effect": "Allow",
	        "Action": [
	            "s3:GetBucketLocation",
	            "s3:GetObject",
	            "s3:ListBucket",
	            "s3:ListBucketMultipartUploads",
	            "s3:ListMultipartUploadParts",
	            "s3:AbortMultipartUpload",
	            "s3:CreateBucket",
	            "s3:PutObject",
	            "s3:PutBucketPublicAccessBlock"
	        ],
	        "Resource": [
	            "arn:aws:s3:::grafana-athena-query-results-*"
	        ]
	    }
	]
}

Política administrada por AWS: AmazonGrafanaCloudWatchAccess

Esta política concede acceso a Amazon CloudWatch y a las dependencias necesarias para utilizar CloudWatch como origen de datos en Amazon Managed Grafana.

Puede asociar la política AWSGrafanaCloudWatchAccess a las entidades de IAM. Amazon Managed Grafana también asocia esta política a un rol de servicio que permite a Amazon Managed Grafana llevar a cabo acciones en su nombre.

Detalles de los permisos

Esta política incluye los siguientes permisos.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:DescribeAlarmsForMetric",
        "cloudwatch:DescribeAlarmHistory",
        "cloudwatch:DescribeAlarms",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:GetMetricData",
        "cloudwatch:GetInsightRuleReport"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups",
        "logs:GetLogGroupFields",
        "logs:StartQuery",
        "logs:StopQuery",
        "logs:GetQueryResults",
        "logs:GetLogEvents"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeTags",
        "ec2:DescribeInstances",
        "ec2:DescribeRegions"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "tag:GetResources",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "oam:ListSinks",
        "oam:ListAttachedLinks"
      ],
      "Resource": "*"
    }
  ]
}

Actualizaciones de Amazon Managed Grafana en las políticas administradas por AWS

Consulte los detalles sobre las actualizaciones de las políticas administradas por AWS para Amazon Managed Grafana desde que este servicio comenzó a hacer el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página Amazon Managed Grafana document history.